PHP2Shell: 政府をオフラインに追いやった2つの重大なPHPの脆弱性

PHP2Shell は、PHP プログラミング言語自体の 2 つの脆弱性の別名であり、特定のウェブサイトやアプリケーションではありません。これらは CVE-2026-109618 および CVE-2026-109619 として追跡されており、PHP の独自のセキュリティチームは、PHP プロジェクトの公式 2026 アーカイブページによると、CVSS v4.0 スケールで両者を 10 点満点中 9.2 点で評価しており、その「重大」レベルに属しています。

2 つの脆弱性が実際に何をするのか

PHP プロジェクト自体の勧告によると、CVE-2026-109618 は、PHP がウェブリクエストを処理している間にメモリ不足になるとトリガーされます。メモリ不足エラーは、内部リクエストデータが完全に設定される前に PHP を中断させることができ、その後に続くクリーンアップ処理は、その不完全なデータを有効として扱う可能性があり、メモリ破損と遠隔コード実行につながる可能性があります。

CVE-2026-109619 は PHP によって「古いグローバル状態」バグと説明されています。1 人の訪問者のリクエストに関連するデータは、クリアされるべき後もサーバーのメモリに残る可能性があり、同じワーカープロセスによって処理される次の訪問者のリクエストは、それらの残骸に対して作用することになる可能性があります。グローバルな監視システムネットワークを運営しているセキュリティ企業 watchTowr は、両方のバグにより、攻撃者がログインを必要とせずにコードを実行でき、ウェブサイト自体のコードが実行を開始する前に実行できると述べました。

オランダのセキュリティ企業 Sansec は、悪用への経路の 1 つが PHP のセッション「アップロード進捗」機能を通じて実行され、他の無関係なリクエストから偶然サーバーのメモリに存在していたパスワード、API キー、暗号化キーなどのデータを公開できると述べ、さらなる技術的詳細を追加しました。

なぜこんなに多くのウェブサイトが露出したのか

バグは PHP エンジン内にあるため、その上にどのコンテンツシステムが実行されているかに関わらず、PHP で構築されたウェブサイトまたはアプリは潜在的に露出しています。Sansec によると、これには WordPress、Drupal、Joomla、Magento、Nextcloud などの広く使用されているプラットフォームが含まれます。PHP はウェブ上で最も広く使用されているサーバー側プログラミング言語の 1 つのままであり、これがこれらの脆弱性が広い大規模なリスクをもたらすものとして扱われた理由の 1 つです。

Wiz のセキュリティ研究者が脆弱性を特定し、Help Net Security は、研究者が最先端の AI ツールの進歩が、長く知られていた悪用が難しいメモリ処理の問題を機能する悪用に変えるための技術的障壁を大幅に低下させたと述べたと報告しました。

なぜ政府がサイトをオフラインにしたのか

脆弱性の技術的詳細が PHP の公式パッチの準備ができる前にリークされ、修正が公開される前に防御者が通常得られるヘッドスタートを減らしました。セキュリティブログ Safeguard は、2026 年 10 月 21 日、オランダが国家サイバセキュリティセンター自体のサイト Overheid.nl、下院ウェブサイト、および複数の病院と政治団体のサイトを含むサービスを予防措置として取り下げたと報告しました。フィンランドの国家 IT プロバイダー Valtori は予防措置として政府ネットワークサービスをオフラインにし、デンマークの自治体 IT 企業 Kombit は国立学校通信プラットフォームを含む複数のサービスをシャットダウンしました。フランスの内務省は、PHP 修正が適用されるのを待っていると述べて、県および地方行政サイトを一時的に取り下げました。ドイツの連邦 IT プロバイダー ITZBund とベルギーの外務省もサイトをオフラインにしましたが、Safeguard によると、彼らは異なる理由を述べました。ITZBund はセキュリティインシデントについて知っていないと述べ、ベルギーの外務省は攻撃の報告を引用しました。

watchTowr は、そのハニーポットネットワーク Attacker Eye が、リークの 1 日後の 2026 年 10 月 21 日から始まり、PHP が修正を公開したのと同じ日に実世界の悪用試行を記録したと述べました。

2 つの脆弱性の比較

サイトとデータを保護する方法

1. PHP でウェブサイトを運営している場合: 修正版 — PHP 8.5.12、8.4.27、8.3.36 または 8.2.35 — に更新し、その後すべての PHP ワーカープロセスを再起動してください。PHP の勧告と runZero は両方とも、更新が唯一の完全な修正であることを強調しています。
2. PHP 7.4、8.0、または 8.1 を使用している場合、これらはもはや公式更新を受け取らないため、Linux ディストリビューションまたはホスティングプロバイダーからバックポートされたセキュリティパッチを取得してください。PHP アーカイブページによると、PHP の独自プロジェクトはこれらのブランチの保守を中止しています。
3. パッチを適用できるまで、runZero はサーバーまたはプロキシレベルでの中間的なステップを推奨しています。メモリ制限をキャップしてアプリケーションがそれをオーバーライドできないようにし、低いリクエストサイズおよびマルチパートアップロード制限を実行し、セッション「アップロード進捗」機能を無効にしてください。
4. Sansec が既知の悪用試行に一般的であると述べている異常な multipart/form-data POST リクエストがないかウェブサーバーアクセスログを確認し、予期しない PHP メモリスパイクまたは致命的エラーを監視してください。
5. 日常的なインターネットユーザーとして、コントロールしないサーバーにパッチを適用することはできませんが、使用しているサービスからの侵害通知を監視し、各アカウントに一意なパスワードを使用し、漏洩したパスワードだけではアカウントにアクセスするのに十分でないように 2 要素認証をオンにすることができます。

まだ不明な点

レビューされたレポートの時点では、複数の政府がサイトをオフラインにすることを決定した時点で、積極的な悪用がどの程度広がっていたかについて、専門家の間に不一致がありました。Safeguard は、オランダ政府が行動した時点で積極的な悪用の兆候がなかったと述べたと報告しましたが、watchTowr は翌日にハニーポットに対する実際の攻撃試行を別々に確認しました。